WannaCry: ransomware-ul care a paralizat 200.000 de computere într-o singură zi

2017

Pe 12 mai 2017, lumea s-a trezit în haos. Computere din 150 de țări afișau același mesaj: fișierele tale au fost criptate. Plătește 300 $ în Bitcoin în 3 zile sau 600 $ în 7 zile, altfel îți pierzi datele pentru totdeauna.

WannaCry s-a răspândit cu o viteză terifiantă. În câteva ore, infectase peste 200.000 de computere. Serviciul Național de Sănătate din Marea Britanie (NHS) a fost grav lovit: spitalele nu puteau accesa fișierele pacienților, ambulanțele erau redirecționate, operațiile erau anulate. FedEx, Telefónica, Deutsche Bahn, Renault: organizații majore din întreaga lume au fost paralizate.

Atacul a folosit EternalBlue, un exploit pentru o vulnerabilitate Windows care fusese dezvoltată de NSA. Un grup de hackeri numit Shadow Brokers îl furase și îl scursese online cu o lună mai devreme. Microsoft lansase un patch în martie, dar milioane de computere nu fuseseră actualizate.

WannaCry era din punct de vedere tehnic un vierme: se răspândea automat prin rețele fără nicio interacțiune din partea utilizatorului. Odată ce infecta un computer dintr-o rețea, scana după alte mașini vulnerabile și le infecta și pe acelea. De aceea s-a răspândit atât de rapid.

Apoi a apărut eroul întâmplător. Marcus Hutchins, un cercetător britanic în securitate cibernetică în vârstă de 22 de ani care lucra din dormitorul său, analiza malware-ul când a observat că acesta încerca să se conecteze la un nume de domeniu specific neînregistrat. Dintr-o intuiție, a înregistrat domeniul pentru 10,69 $. S-a dovedit a fi un comutator de oprire: malware-ul verifica dacă domeniul există, iar dacă exista, înceta să se mai răspândească.

Hutchins nu știa că era un comutator de oprire când l-a înregistrat. Credea că doar redirecționa domeniul pentru analiză (sinkholing). A salvat din întâmplare potențial milioane de computere de la infectare.

Atacul a fost ulterior atribuit grupului Lazarus Group, legat de Coreea de Nord. În ciuda infectării a sute de mii de computere, atacatorii au strâns doar aproximativ 140.000 $ în Bitcoin, o pradă surprinzător de mică pentru o operațiune atât de masivă.

Lecția durabilă a WannaCry: actualizează-ți sistemele. Vulnerabilitatea fusese remediată cu două luni înainte de atac. Fiecare mașină infectată rula software învechit. A evidențiat și pericolul ca guvernele să stocheze exploit-uri: când instrumentele NSA s-au scurs, au devenit arme disponibile oricui.